Cómo comprobar que los relojes de los sistemas permiten ordenar eventos
Verifica una secuencia conocida y conserva la incertidumbre cuando los tiempos no permitan establecer un orden fiable.
Equipo enginerIT· 2 min de lectura
Para ordenar eventos necesitas comprobar la hora de origen, la zona horaria, el formato y el retraso de llegada. Ver la misma hora en dos pantallas no basta. La prueba debe revelar si un desfase o una conversión cambia la secuencia con la que interpretarías una incidencia.
Distingue tres tiempos diferentes
Identifica cuándo ocurrió el evento según el sistema, cuándo lo recibió el recolector y cuándo estuvo disponible para buscarlo. Conserva esa distinción al construir una cronología. Un mensaje recibido después puede describir una acción anterior. Pide a los responsables una muestra del evento original y su representación en el visor; algunos paneles convierten automáticamente a la zona del usuario y otros muestran el valor almacenado.
Contrasta sincronización y secuencia
Revisa qué fuente horaria utiliza cada componente relevante, cuándo sincronizó y si comunica errores. Incluye identidad, aplicación, firewall y colector, no solo los ordenadores. ACSC/CISA recomienda una fuente de tiempo fiable y formato coherente. La tolerancia de desfase debe responder al uso: investigar operaciones separadas por segundos exige más precisión que revisar una tendencia diaria. No adoptes un número arbitrario como requisito universal de seguridad.
Registra el comienzo de una prueba y ejecuta acciones distinguibles: iniciar sesión, abrir un recurso de ensayo y hacer un cambio autorizado. Relaciona los eventos mediante sus identificadores, sin depender exclusivamente de las marcas temporales. Compara el orden esperado con el observado y anota desfase, resolución y retraso de cada fuente. Si hay discrepancias, no cambies a mano las horas originales para que encajen: conserva el dato y documenta la corrección interpretativa.
Expresa la incertidumbre de la cronología
Si un equipo estaba fuera de sincronización, indica el intervalo posible y qué conclusiones siguen siendo válidas. Una marca con milisegundos no garantiza precisión real. Repite comprobaciones tras cambios de zona, horario estacional, hipervisor o proveedor. En SaaS donde no controlas el reloj, registra formato y comportamiento documentado y comprueba la exportación. Escala a soporte las contradicciones; hasta resolverlas, evita afirmar causalidad entre eventos cuyo orden no puedes justificar.
Comprobaciones para cerrar la tarea
- ✓ Hora de origen y recepción diferenciadas
- ✓ Zona y precisión registradas por fuente
- ✓ Secuencia de prueba comparada sin alterar originales
Fuentes y documentación
- ACSC, CISA y socios · Event logging — Guía conjunta: fuentes, contexto de eventos, coherencia de tiempo y protección de registros.
Aplicarlo en tu empresa
Podemos revisar el entorno y acordar qué actuaciones, validaciones y mantenimiento necesitas.
Conocer el servicio relacionado →